VPCの基本設計 サブネット・NAT Gateway・セキュリティグループとネットワークACLの役割を押さえる

SAA-C03では、VPCの構成を要件から選ぶ問題が必ず出ます。この記事では、サブネットの分け方、外部との出入り口、通信を制御する仕組みを「入口・出口・番人」の3つの観点で整理します。

覚え方は「入口・出口・番人」の3つの観点

入口はインターネットゲートウェイ、出口はNAT Gatewayなど、番人はセキュリティグループとネットワークACLです。パブリックサブネットはインターネットゲートウェイへのルートを持ち、プライベートサブネットは持ちません。Webサーバーは公開側、データベースは非公開側に置くのが基本設計です。

NAT Gatewayとエンドポイント

プライベートサブネットのインスタンスがソフトウェア更新などでインターネットへ出る場合は、パブリックサブネットのNAT Gatewayを経由します。可用性を高めたいならAZごとにNAT Gatewayを配置します。S3やDynamoDBへの通信は、ゲートウェイ型VPCエンドポイントを使うと、NAT Gatewayを通さず無料でプライベートに到達できます。データ転送料金を抑えたい要件の定番です。

セキュリティグループとネットワークACL

セキュリティグループはインスタンスに適用され、許可ルールのみで、戻りの通信は自動的に許可されます（ステートフル）。ネットワークACLはサブネットに適用され、許可と拒否の両方を番号順に評価し、戻りの通信も明示的に許可する必要があります（ステートレス）。特定のIPアドレスを明示的に拒否したい場合はネットワークACLを使います。

チェックリスト

• パブリックサブネットとプライベートサブネットの違いを説明できる
• NAT GatewayをAZごとに置く理由を言える
• ゲートウェイ型エンドポイントの対象サービスを答えられる
• セキュリティグループとネットワークACLの違いを表で再現できる

まとめ

VPC設計は「入口・出口・番人」で整理し、拒否が必要ならネットワークACL、費用を抑えたいならゲートウェイ型エンドポイントと覚えましょう。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。